Fuite de données chez Exactis

Les enregistrements d’Exactis comprennent des champs permettant une identification directe, tels que les adresses e-mail, les noms complets, les numéros de téléphone, les adresses postales, les adresses IP et les dates de naissance. Ils recensent également des données de profil : informations sur la situation de crédit, niveau d’études, origine ethnique, situation familiale, intérêts en matière de placements financiers, genre, statut de propriétaire du logement, niveau de revenus, situation matrimoniale, tranche de patrimoine net, profession, centres d’intérêt personnels, religion et langues parlées. Cette combinaison pourrait permettre à des attaquants de concevoir des fraudes personnalisées, des messages ciblés, de faux appels du service client ou des scénarios d’hameçonnage sans avoir besoin du moindre mot de passe.

L’aspect le plus critique de cette fuite est le regroupement de données qui, prises séparément, peuvent sembler de portée limitée. Une adresse e-mail, un numéro de téléphone et une adresse postale rendent une personne facilement joignable; les informations sur ses revenus, son ménage et ses centres d’intérêt indiquent quelles promesses ou quelles tactiques de pression pourraient la convaincre davantage. L’exposition des données d’Exactis accroît donc surtout les risques d’ingénierie sociale, d’utilisation abusive de publicités ciblées, de fraude et de discrimination fondée sur le profil, davantage que le risque de prise de contrôle d’un compte.

Le périmètre vérifié à retenir est de 131 577 763 comptes uniques. Ce chiffre est distingué des chiffres avancés pour l’ensemble de données brutes, plus vaste, et c’est lui qui est utilisé sur l’écran de vérification destiné aux utilisateurs. La date de la fuite est fixée au 1er juin 2018, et les dates d’ajout et de dernière modification au 25 juillet 2018. Le domaine retenu pour Exactis est exactis.com. L’entreprise est située aux États-Unis et son secteur d’activité est classé comme relevant du courtage de données et des données marketing.

Pour Exactis, les mots de passe, les cartes de paiement, les comptes bancaires et les numéros de sécurité sociale ne figurent pas parmi les catégories de données vérifiées. Cela ne signifie toutefois pas que le risque est faible. Le regroupement d’informations sur la situation de crédit, les revenus, l’adresse, la famille et les croyances peut rendre la personne plus vulnérable aux tentatives fondées sur les questions de sécurité, aux scénarios de fraude ciblée et aux faux courriers d’institutions. Compte tenu du niveau de risque, du nombre d’enregistrements et du degré de détail des profils, la classification « Critique » a donc été maintenue.

Les personnes les plus susceptibles d’être touchées par cet incident sont celles qui figurent dans des profils de consommateurs ou des listes marketing constitués aux États-Unis. Même si une personne n’a jamais utilisé Exactis, son nom, son adresse e-mail ou son adresse postale peuvent avoir été recueillis à partir de listes de tiers, du fait du modèle de courtage de données. Le risque ne dépend donc pas de l’existence d’un véritable compte utilisateur au sens traditionnel.

Les utilisateurs qui interagissent fréquemment avec des campagnes commerciales, immobilières, financières, sanitaires, éducatives ou de collecte de dons peuvent devenir des cibles plus visibles. De même, pour les personnes qui utilisent depuis longtemps le même numéro de téléphone et la même adresse e-mail, d’anciennes données de profil peuvent encore servir à des tentatives de fraude. Des informations comme la situation matrimoniale, la profession, les revenus et les centres d’intérêt peuvent aider un attaquant à donner à son message une apparence personnelle et convaincante. Une vigilance accrue est donc particulièrement nécessaire face aux demandes reçues par téléphone, SMS et e-mail.

Puisque les mots de passe ne figurent pas parmi les catégories de données vérifiées dans l’enregistrement Exactis, la première mesure ne doit pas se limiter à un changement de mot de passe. Vous devez avant tout examiner avec davantage de rigueur les demandes inattendues reçues par e-mail, par téléphone ou à votre adresse postale. Lorsqu’un message invoque un sujet financier, une livraison, une administration, une assurance, une école, une campagne caritative ou un renouvellement d’abonnement, vous devez en vérifier l’authenticité par le canal de communication officiel de l’organisme avant de cliquer sur un lien.

Utilisez un mot de passe robuste et unique pour votre compte de messagerie et activez l’authentification multifacteur partout où cela est possible. Pour votre compte auprès de votre opérateur téléphonique, configurez un code PIN ou un mot de passe de sécurité supplémentaire pour les changements de carte SIM, la portabilité du numéro et les opérations auprès du service client. Puisque les données d’Exactis comprennent des adresses et des numéros de téléphone, ne communiquez pas directement d’informations en réponse à de fausses notifications de livraison, de prétendus avis de dette, des offres de placement ou des appels de sondage. Examinez avec prudence les formulaires demandant votre date de naissance, vos revenus et des informations sur votre famille.

Lors d’une exposition de données détenues par ce type de courtier, la stratégie à long terme doit viser à rendre le profil personnel plus difficile à réutiliser, plutôt qu’à simplement sécuriser un seul compte. Vous pouvez choisir des adresses e-mail distinctes pour les services financiers, les achats, les réseaux sociaux et les lettres d’information, au lieu d’utiliser la même adresse pour tous les services. Si vous ne comptez utiliser un service que pour une campagne ou un essai, une adresse distincte de votre adresse principale permanente réduit le risque de rapprochements ultérieurs entre les données.

Consultez régulièrement vos rapports de crédit et vos opérations financières, et activez les services qui vous avertissent de l’ouverture de nouveaux comptes ou de demandes de consultation suspectes. Vous pouvez examiner les formulaires officiels permettant de demander votre retrait des listes des courtiers en données, tout en gardant à l’esprit que ces démarches ne donnent pas toujours des résultats durables. La meilleure protection consiste à ne pas prendre de décisions précipitées lors de communications inattendues, à ne pas saisir d’informations de profil personnel dans des formulaires inutiles et à recourir à une vérification supplémentaire pour les comptes à forte valeur.

Si vous apparaissez dans les résultats Exactis sur LeakData, vous devez considérer cet enregistrement non comme une fuite de mots de passe, mais comme l’exposition d’un profil détaillé. La présence conjointe d’adresses e-mail, de numéros de téléphone, d’adresses postales et de données démographiques peut faciliter la création de messages d’hameçonnage convaincants, les appels personnalisés et les tentatives de deviner les réponses aux questions de sécurité. Lorsque vous voyez une alerte, vous devez donc passer en revue tous les comptes importants utilisant la même adresse e-mail et le même numéro de téléphone, plutôt que de vérifier uniquement le site concerné.

Après la vérification, les mesures les plus appropriées consistent à renforcer la sécurité du compte de messagerie, à activer l’authentification multifacteur, à ajouter un code de sécurité supplémentaire au compte auprès de l’opérateur téléphonique, à surveiller les opérations financières et à ne pas donner suite aux prises de contact inattendues. Examinez également les courriers d’apparence officielle envoyés à votre adresse postale, les demandes de codes de vérification par téléphone et les sondages sollicitant des renseignements personnels. Un enregistrement Exactis doit être considéré comme une fuite à fort impact : il indique que les moyens de vous joindre, tant numériques que physiques, peuvent être ciblés, même si aucune information d’authentification n’a été divulguée.